u014794539的博客

本地文件包含随便选了一个F12看到这个东西判断http://127.0.0.1/pikachu/vul/fileinclude/fi_local.php?filename=//file1.php//&submit=%E6%8F%90%E4%BA%A4%E6%9F%A5%E8%AF%A2修改file1.php可以造成文件读取尝试读取本机host文件 ../../../../Windows/System32/drivers/etc/hosts成功读取远程文件包含构造htt

Cross-Site Scripting简称为“CSS”，为避免与前端叠成样式表的缩写"CSS"冲突，故又称XSS。一般XSS可以分为如下几种常见类型：1.反射性XSS;2.存储型XSS;3.DOM型XSS;XSS漏洞一直被评估为web漏洞中危害较大的漏洞，在OWASP TOP10的排名中一直属于前三的江湖地位。XSS是一种发生在前端浏览器端的漏洞，所以其危害的对象也是前端用户。形成XSS漏洞的主要原因是程序对输入和输出没有做合适的处理，导致“精心构造”的字符输出在前端时被浏览器当作有..

基于表单的暴力破解BP抓包直接爆破即可得到长度不同的就是了验证码绕过(on sever)抓包发到repeater发现 只修改账号密码 不修改验证码 只会提示账号密码错误 修改验证码 会提醒验证码错误成功登陆之前验证码一直有效直接暴力破解就行账号密码还是原来的验证码绕过(on client)点击login发现没抓到包就提醒错误了 查看源码发现验证码是前端的内容发到repeater发现 只修改账号密码 不修改验证码 只会提示账号密码错误 修改验证码 验证码错误都不